KI-MIG in Kraft: Wer beaufsichtigt einen Algorithmus, den ein Staatsvertrag vorschreibt?

BONN / HALLE (SAALE) (IT BOLTWISE) – Seit dem 29. Juli 2026 gilt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG. Die Bundesnetzagentur wird damit Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für die europäische KI-Verordnung. Die Debatte darüber dreht sich fast immer um Unternehmen, die KI freiwillig einsetzen und dafür neue Pflichten erfüllen müssen. Es gibt aber Bereiche, in denen ein anderes Gesetz den Einsatz eines Algorithmus längst ausdrücklich anordnet. Dort stellt sich eine andere Frage: Wer prüft, ob das vorgeschriebene System seine Aufgabe erfüllt?

Das deutsche Online-Glücksspiel ist dafür das deutlichste Beispiel, und zwar nicht wegen des technischen Reifegrads der Branche. Hier macht ein Staatsvertrag den Betrieb eines automatisierten Systems zur Pflicht. Der Wortlaut des § 6i GlüStV 2021 ist eindeutig: Veranstalter müssen “auf eigene Kosten ein auf wissenschaftlichen Erkenntnissen beruhendes, auf Algorithmen basierendes automatisiertes System zur Früherkennung von glücksspielsuchtgefährdeten Spielern und von Glücksspielsucht einsetzen”. Die Einzelheiten werden in der jeweiligen Erlaubnis festgelegt. Das System hat die auf dem Spielkonto erfassten Daten auszuwerten, ist regelmäßig zu aktualisieren und im Sozialkonzept zu berücksichtigen. Damit endet die Pflicht nicht bei der Analyse. Erkennt das System einen möglicherweise gefährdeten Spieler, sind Maßnahmen festzulegen, und diese Maßnahmen sind durchzuführen. Wie treffsicher diese Erkennung arbeiten muss, steht dort allerdings nicht.

Diese Konstellation bildet die Risikoklassifizierung der KI-Verordnung nicht sauber ab. Anhang III führt acht Bereiche für Hochrisiko-Systeme auf, darunter Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung und Justiz. Glücksspiel, Sucht oder Suchtfrüherkennung kommen in dieser Aufzählung nicht vor. Der fünfte Bereich erfasst den Zugang zu grundlegenden privaten und öffentlichen Diensten. Dort gelten Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen ausdrücklich als hochriskant, ebenso Systeme zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Ein Modell, das die Zahlungsfähigkeit eines Menschen einschätzt, fällt damit in die strengste reguläre Kategorie. Ein Modell, das sein Suchtrisiko einschätzt und daraufhin in sein Konto eingreift, steht dort nicht. Ein Versehen muss man darin nicht sehen; es ist eine offene Einordnungsfrage. Von ihrer Beantwortung hängt ab, ob Dokumentation, Protokollierung und menschliche Aufsicht nach europäischem Recht verpflichtend werden. Sie trifft auf einen Zeitplan, in dem die Leitlinien zur Klassifizierung von Hochrisiko-KI später kommen als geplant.

Wer das im Einzelfall prüft, ist damit noch nicht gesagt. Das KI-MIG belässt die Zuständigkeit in vollharmonisierten Produktbereichen bei den etablierten Marktüberwachungs- und Fachaufsichtsbehörden, während die Bundesnetzagentur zentral koordiniert, Expertise bündelt und von den Ländern im Wege der Organleihe eingebunden werden kann. In regulierten Sektoren zeigt sich dieses Muster schon: Die BaFin hat für Banken einen eigenen KI-Risikorahmen gesetzt, statt auf eine allgemeine Auslegung zu warten. Im Glücksspiel ist die Ausgangslage komplizierter. Zuständig ist die Gemeinsame Glücksspielbehörde der Länder mit Sitz in Halle (Saale), eine Einrichtung auf Grundlage eines Staatsvertrags, und die technischen Anforderungen an das einzelne Früherkennungssystem stehen nicht im Gesetz, sondern in der jeweiligen Erlaubnis. Fachaufsicht und KI-Kompetenz sitzen damit in verschiedenen Häusern, und die Prüfmaßstäbe sind nicht öffentlich einsehbar. Wie anspruchsvoll die messtechnische Seite ist, zeigt die Behörde selbst: In ihrem Tätigkeitsbericht 2025 weist sie für das Jahr keine eigenständigen Kennzahlen zur Größe des illegalen Marktes aus und begründet das mit der intransparenten Struktur dieses Marktes, die eine besonders belastbare methodische Grundlage erfordere. Eine Stelle, die bei einer Marktgröße methodisch zurückhaltend bleibt, soll künftig die Ausgabequalität lernender Modelle beurteilen.

Bewertet wird dabei kein abstrakter Verhaltensbegriff. Das Parameterset steht im Gesetz. Nach § 6c GlüStV müssen Spieler bei der Registrierung ein monatliches anbieterübergreifendes Einzahlungslimit festlegen, das grundsätzlich 1.000 Euro nicht übersteigen darf; ohne festgelegtes Limit darf keine Spielteilnahme erfolgen, und das Limit gilt als erschöpft, sobald die Summe der Einzahlungen bei allen beteiligten Anbietern den Betrag erreicht. Dazu kommen Einsatz- und Verlustgrenzen sowie Mindestabstände zwischen zwei Spielrunden. Laut John Isaac, Redakteur bei online-gambling.com, der die Regulierung in den USA und Großbritannien verfolgt, ist die anbieterübergreifende Konstruktion der entscheidende Unterschied; in einer englischsprachigen Aufstellung ist dokumentiert, wie sich die geltenden Limits, Bonusgrenzen und Steuersätze derzeit zusammensetzen. In den USA werde einzelstaatlich reguliert, in Großbritannien laufe die Steuerung stärker über Nebenbestimmungen der Erlaubnis. Wo Deutschland über zentrale Register durchsetzt, sind die Eingangsdaten des Modells vergleichsweise einheitlich definiert, was eine Prüfung technisch erst möglich macht.

Auf der anderen Seite der Verordnung stehen die Verbote. Sie treffen das kommerzielle Modell weit eher als das schützende. Untersagt sind nach Artikel 5 Systeme, die “Schwachstellen einer natürlichen Person oder einer bestimmten Gruppe von Personen aufgrund ihres Alters, einer Behinderung oder einer bestimmten sozialen oder wirtschaftlichen Situation” ausnutzen, wenn das Verhalten dadurch wesentlich verändert wird und ein erheblicher Schaden wahrscheinlich ist. Wer diese Formulierung auf Personalisierung und Reaktivierung anwendet, landet schnell bei Fragen, die im Glücksspiel bislang unter Werberecht diskutiert wurden. Hinzu kommt die Datenseite. § 6i verlangt zusätzlich ein technisches System, das alle aufsichtsrelevanten Daten unveränderlich ablegt und der Behörde unmittelbaren elektronischen Zugriff erlaubt. Personenbezogene Daten werden pseudonymisiert, für die Aufsicht muss aber erkennbar bleiben, welche Vorgänge denselben Spieler betreffen. Wie sich das zu den Anforderungen an automatisierte Entscheidungen im Datenschutzrecht verhält, müsste eine Prüfung erst klären. Am anderen Ende der Kette stehen Angebote, die sich ausschließlich an Volljährige ab 18 Jahren richten, und Einrichtungen wie die Deutsche Hauptstelle für Suchtfragen, deren Präventionsdaten dieselbe Zielgruppe beschreiben, die das Modell erkennen soll.

Dasselbe Muster trifft jede Fachaufsicht, die ein eigenes KI-Thema bekommt. Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, warnte zur deutschen Umsetzung des AI Acts, ohne Koordination bekomme man “bei KI statt einer gemeinsamen deutschen Linie 16 unterschiedliche Auslegungen”. Im Glücksspiel ist diese Zahl keine Warnung, sondern die Rechtsform: Der Staatsvertrag wird von sechzehn Ländern getragen, und jede Anpassung setzt deren Einvernehmen voraus. Zeitdruck besteht zunächst nicht, denn die Hochrisiko-Fristen sind auf Dezember 2027 und August 2028 verschoben. Genau das verlagert die Arbeit nach vorn, weil Einordnungsannahmen dokumentiert werden müssen, solange die Leitlinien fehlen. Klar ist: Wie belastbar die deutsche KI-Aufsicht arbeitet, zeigt sich am Ende bei den Systemen, die der Staat selbst vorgeschrieben hat.